Questão de Segurança da Informação — DevSecOps — CESPE / CEBRASPE 2023

DevSecOps: segurança integrada ao ciclo DevOps

❌ ERRADO. O item está errado porque afirma que o DevSecOps deve evitar automatizar barreiras de segurança, quando, na verdade, a automação de segurança é um dos pilares centrais dessa abordagem. O DevSecOps integra a segurança em todas as fases do ciclo de vida do desenvolvimento, utilizando a automação para aplicar controles de segurança de forma contínua e eficiente, sem comprometer a velocidade do DevOps.

O DevSecOps (Development, Security e Operations) é uma evolução do DevOps que incorpora a segurança como responsabilidade compartilhada de toda a equipe, desde o planejamento até a operação. Diferentemente do modelo tradicional, em que a segurança é uma etapa final ou uma equipe separada, no DevSecOps a segurança é "shift left", ou seja, é deslocada para o início do processo de desenvolvimento. Isso significa que práticas como análise estática de código (SAST), análise dinâmica (DAST), varredura de dependências e testes de segurança são automatizadas e integradas aos pipelines de CI/CD (Integração Contínua/Entrega Contínua).

A automação de barreiras de segurança não insere pontos de fragilidade; pelo contrário, ela é essencial para garantir que as verificações de segurança sejam aplicadas de forma consistente e repetível, sem depender de ações manuais que podem ser esquecidas ou negligenciadas. Ao automatizar, o DevSecOps consegue detectar vulnerabilidades precocemente, corrigi-las rapidamente e manter a segurança em dia, sem sacrificar a agilidade do ciclo de desenvolvimento. O manifesto DevSecOps reforça essa ideia ao defender "serviços de segurança consumíveis com APIs ao invés de controles de segurança obrigatórios e papelada" e "monitoramento de segurança proativo 24 horas por dia, 7 dias por semana".

Na prática, um pipeline DevSecOps pode incluir etapas automatizadas como: análise de código-fonte (SAST) a cada commit, testes de segurança em ambiente de staging (DAST), verificação de dependências vulneráveis, e varredura de imagens de contêineres. Essas barreiras automatizadas atuam como "portões de qualidade" que impedem que código inseguro avance para produção, mas são projetadas para serem rápidas e não atrasar o fluxo de trabalho. O objetivo é justamente o oposto do que o item afirma: automatizar para acelerar a segurança, não para criar gargalos.

A pegadinha da questão está em inverter o papel da automação. O candidato pode ser levado a pensar que "automatizar barreiras" cria lentidão ou fragilidade, mas o DevSecOps existe exatamente para integrar segurança e velocidade por meio da automação. A banca explora a confusão entre "automação de segurança" (positiva e desejada) e "processos manuais de segurança" (que podem ser lentos e falhos).

Alternativa E — ❌ Incorreta ⟵ GABARITO

A alternativa está incorreta porque o DevSecOps, ao contrário do que afirma, deve automatizar as barreiras de segurança, e não evitá-las. A automação é um dos princípios fundamentais do DevSecOps, permitindo que a segurança seja aplicada de forma contínua, consistente e sem comprometer a velocidade do ciclo de desenvolvimento. Evitar a automação de segurança seria um retrocesso, pois deixaria a segurança dependente de processos manuais, mais lentos e sujeitos a falhas humanas. O item inverte completamente o conceito: a automação de segurança é uma prática recomendada e essencial para o DevSecOps, não um risco a ser evitado.

Gabarito: letra E (ERRADO).